Vulnerabilidad en AgentAPI (CVE-2025-59956)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

30/09/2025

Última modificación:

08/10/2025

Descripción

AgentAPI es una API HTTP para Claude Code, Goose, Aider, Gemini, Amp y Codex. Las versiones 0.3.3 e inferiores son susceptibles a un ataque de reencuadernación de DNS del lado del cliente cuando se alojan a través de HTTP simple en localhost. Un atacante puede obtener acceso al endpoint /messages servido por la API de Agent. Esto permite la exfiltración no autorizada de datos sensibles del usuario, específicamente el historial de mensajes local, que puede incluir claves secretas, contenido del sistema de archivos y propiedad intelectual en la que el usuario estaba trabajando localmente. Este problema está solucionado en la versión 0.4.0.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno